El agua es un producto de primera necesidad y cualquier servicio municipal de aguas se considera esencial (L4/1981, L36/2015, RD 12/2018, RD 1150/2021) y debe garantizar la continuidad y la seguridad de sus operaciones para asegurar las condiciones sanitarias y la calidad de vida de la población. Utiliza infraestructuras críticas entre las que están no solo captaciones, plantas de tratamiento o redes de tuberías, sino también los sistemas informáticos de apoyo a la explotación, los automatismos y las redes de telecomunicaciones que los interconectan. Toda la estrategia de digitalización impulsada por esta convocatoria de ayudas para los servicios de aguas se basa en estas redes y sistemas que permiten prestar el servicio con mayor eficacia, pero también aumentan la superficie de exposición a ciber riesgos.
Por ello el proyecto de digitalización de Agua de Valladolid EPE incluye la mejora de la ciberseguridad de todos los sistemas, mediante una actuación dividida en tres fases:
- Auditoría de ciberseguridad que permita conocer su grado de vulnerabilidad ante amenazas, identificar cualquier posible fallo de seguridad y detectar oportunidades de mejora. Los resultados obtenidos se plasmarán en un informe técnico de carácter confidencial. Se realizará en el primer trimestre de 2024.
- Test de penetración (pen test) o ataque ético en dos etapas. En primera se realizará un test de caja negra comprobando la seguridad perimetral de la entidad frente a ataques externos realizados sin información del interior, consistente en recopilación y explotación de información pública, identificación de recursos expuestos, vulnerabilidad a accesos no autorizados, sensibilidad a técnicas de ingeniería social y fallos humanos, y riesgos frente a ataques dirigidos. En una segunda etapa se realizará un test de caja gris para verificar la seguridad interna, mediante la conexión a las redes de la entidad, a conseguir en primera instancia por el propio atacante con el fin de revelar la arquitectura interna, verificar la efectividad de las protecciones y medidas de seguridad implementadas, identificar comportamientos de riesgo entre los usuarios internos, explotar vulnerabilidades internas, escalado de privilegios, analizar riesgos de expansión de un ataque y captura de tráfico interno.Estos test se contratarán con proveedores externos que deberán realizarlos dentro de los límites de la legalidad para este tipo de subcontratas, así como monitorizando todos los daños que involuntariamente puedan producirse, incluso ralentización de sistemas, caída de comunicaciones, etc… cuidando de minimizarles, posponiendo su actividad a momentos en los que menor sea cualquier incidencia, y en todo caso disponiendo medios de asistencia a la recuperación. Así mismo, los resultados obtenidos se plasmarán en sendos informes técnicos de carácter confidencial y controlados, debiéndose destruirse el resto de hallazgos.Los test se realizarán tras finalizar la auditoría, contratándose a partir del primer trimestre de 2024, con un plazo máximo de finalización coincidente con la del año 2024. De esta manera, el contratista dispondrá de tiempo suficiente sin que pueda ser determinado el momento exacto de su realización por el personal interno, de manera que los resultados sean lo más aproximados posibles a un ataque real.
- Fortificación de sistemas de información: tras las fases anteriores se propone la implementación de las medidas que deriven de ellas, para reforzar la ciberseguridad tanto perimetral como interna de los medios digitales de Agua de Valladolid EPE, con el objetivo de fortalecer la entidad, eliminando las posibles brechas de seguridad que puedan detectarse, y en cualquier caso, reduciendo los riesgos y aprovechando las oportunidades de mejora que se presenten.
- Revisión de procedimientos de gobernanza y reacción ante ciber incidentes.
La necesidad de esta actuación deriva del cumplimiento de la Directiva CER relativa a la resiliencia de las entidades críticas (D UE 2022/2557), la Directiva NIS2 (D UE 2022/2555) para garantizar un elevado nivel de ciberseguridad, que incluye el ciclo integral del agua, y el RD311/2022 que regula el Esquema Nacional de Seguridad. Su alcance de esta actuación incluye el bastionado o hardening mediante el rediseño de sistemas (separación, redundancia…) y redes de telecomunicaciones (defensa en profundidad, segmentación…), el suministro, configuración e instalación del hardware o software necesarios para una protección activa (DMZ, honey pot), la habilitación de servicios de ocultación (VPNs…), la revisión de la seguridad de los datos (backups, redundancias…), la revisión de políticas de seguridad, la reconfiguración de servicios, la centralización de alertas en una plataforma de ciberseguridad, etc; y en general aquellas derivadas de los hallazgos de la auditoría y los test a realizar.
Las actividades de esta actuación tienen como fin de reducir los vectores de ataque y por ello se desarrollarán guardando su confidencialidad, pero asegurando la integridad y la continuidad en la disponibilidad de la información para todo el personal autorizado, sin interrumpir el normal funcionamiento del servicio. Para mejorar la cogobernanza del proyecto, se dará traslado al Centro Nacional de Protección de Infraestructuras y Ciberseguridad (CNPIC) de las conclusiones de esta actuación, por ser el órgano competente en infraestructuras y operadores críticos del sector público.
